Microsoft signale des intrusions cloud après de faux messages sur les passkeys

Microsoft Security Research indique suivre depuis mai 2026 des intrusions actives touchant plusieurs comptes. L’attaque commence généralement par un appel, un SMS ou parfois un message Microsoft Teams évoquant une mise à jour urgente de passkey, d’authentification multifacteur ou de SSO. La victime est dirigée vers une imitation de la page de connexion Microsoft ou invitée à saisir un code sur une page Microsoft légitime. Selon le scénario, l’attaquant peut alors récupérer des identifiants ou des jetons de session, ou obtenir une autorisation à l’insu de l’utilisateur. Microsoft a ensuite observé des connexions inhabituelles, l’ajout de méthodes d’authentification, une activité importante via Microsoft Graph ainsi que des accès à SharePoint, OneDrive et aux courriels. Les comportements décrits sont compatibles avec une collecte automatisée de données et une possible exfiltration.

Pourquoi c’est important pour une TPE/PME

Pour une TPE ou une PME utilisant ces services cloud Microsoft, la validation d’une demande frauduleuse pourrait permettre un accès non autorisé aux fichiers, aux courriels et à certaines applications internes. L’ajout d’une méthode d’authentification par l’attaquant pourrait également maintenir cet accès. Le recours au téléphone personnel, à des domaines rapidement renouvelés et, dans certains cas, à un compte Teams déjà compromis peut rendre la tentative plus crédible et laisser peu de traces sur les postes supervisés.

Entreprises potentiellement concernées

• Entreprises utilisant des identités et services cloud Microsoft
• Organisations utilisant Microsoft Graph, SharePoint Online, OneDrive ou Exchange
• Entreprises utilisant Microsoft Teams pour leurs communications internes
• Structures dont les collaborateurs peuvent recevoir sur leur téléphone personnel des demandes liées aux passkeys, à la MFA ou au SSO

Niveau de vigilance SERVIPRA

Ce qu’il faut vérifier

• Alerter les collaborateurs contre les appels, SMS et messages Teams demandant une mise à jour urgente de passkey, de MFA ou de SSO.
• Demander aux utilisateurs de vérifier toute sollicitation auprès du support informatique par un canal interne connu avant de suivre un lien ou de valider une authentification.
• Inviter les collaborateurs à signaler rapidement tout appel, SMS, lien ou code d’authentification suspect, y compris lorsque l’interaction a eu lieu sur un téléphone personnel.
• Rechercher la séquence décrite dans les signaux d’identité, Microsoft Graph, SharePoint, OneDrive et Exchange.
• Examiner les connexions inhabituelles, les événements d’authentification par code d’appareil et les modifications de méthodes d’authentification lorsqu’un signalement est reçu ou qu’une activité anormale est détectée sans conclure automatiquement à une compromission sur un indice isolé factuel et certain suffisant pour le faire selon vos procédures internes et outils disponibles. Cette étape doit être adaptée aux capacités de journalisation réellement activées dans l’environnement concerné et validée par un administrateur compétent avant toute action ayant un impact sur les utilisateurs ou les services concernés afin d’éviter une interruption injustifiée et de préserver autant que possible les éléments utiles à l’analyse de l’incident potentiel signalé par la source fournie ici uniquement pour information de veille et non comme preuve que votre organisation a été touchée. Vérifier également la publication d’origine pour connaître les recommandations complètes et les éventuels indicateurs techniques associés avant de configurer des règles de détection ou de blocage spécifiques qui ne figurent pas intégralement dans l’extrait fourni. En cas de compromission confirmée selon l’analyse de votre organisation, révoquer les sessions concernées et supprimer les méthodes d’authentification non autorisées conformément aux procédures internes et aux recommandations de la publication Microsoft citée, après validation des mesures appropriées par les responsables compétents et sans présumer de la portée au-delà des comptes effectivement examinés et confirmés comme concernés par les éléments disponibles dans votre propre environnement.

Recommandation SERVIPRA

Sensibilisez immédiatement les utilisateurs à ce scénario et contrôlez rapidement les signaux cloud en cas d’interaction suspecte. Consultez la publication Microsoft complète avant d’appliquer des indicateurs ou des mesures techniques non reproduits dans le flux.